Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
Administración AWS Config Reglas para todas las cuentas de su organización
importante
Las reglas de la organización solo se pueden crear con la API o la CLI. Esta operación no se admite en la AWS Config consola.
AWS Config le permite administrar AWS Config las reglas Cuentas de AWS en todos los niveles de una organización. Puedes:
-
Crea, actualiza y elimina AWS Config reglas de forma centralizada en todas las cuentas de tu organización.
-
Implemente un conjunto común de AWS Config reglas en todas las cuentas y especifique las cuentas en AWS Config las que no se deben crear reglas.
-
Usa las API de la cuenta de administración AWS Organizations para reforzar la gobernanza asegurándote de que las cuentas de los miembros de tu organización no puedan modificar las AWS Config reglas subyacentes.
Consideraciones
Para implementaciones en diferentes regiones
La llamada a la API para implementar reglas y paquetes de conformidad en todas las cuentas es específica de cada AWS región. En el nivel de organización, debe cambiar el contexto de la llamada a la API a una región diferente si quiere implementar reglas en otras regiones. Por ejemplo, para implementar una regla en Este de EE. UU. (Norte de Virginia), cambie la región a Este de EE. UU. (Norte de Virginia) y, a continuación, llame a PutOrganizationConfigRule.
Para cuentas dentro de una organización
Si una cuenta nueva se une a una organización, la regla o el paquete de conformidad se implementan en esa cuenta. Cuando una cuenta abandona una organización, se elimina la regla o el paquete de conformidad.
Si implementa una regla organizativa o un paquete de conformidad en una cuenta de administrador de la organización y, a continuación, establece un administrador delegado e implementa una regla organizativa o un paquete de conformidad en la cuenta de administrador delegado, no podrá ver la regla organizativa ni el paquete de conformidad en la cuenta de administrador de la organización desde la cuenta de administrador delegado ni ver la regla organizativa ni el paquete de conformidad en la cuenta de administrador delegado desde la cuenta de administrador de la organización. DescribeOrganizationConformancePacksLas API DescribeOrganizationConfigRules y solo pueden ver e interactuar con los recursos relacionados con la organización que se implementaron desde la cuenta que llama a esas API.
Mecanismo de reintento para las cuentas nuevas que se agreguen a una organización
Si no hay ningún registrador disponible, solo se volverán a intentar implementar las reglas organizativas y los paquetes de conformidad existentes durante 7 horas después de añadir una cuenta a su organización. Se espera que cree un registrador si no existe uno dentro de las 7 horas siguientes a la adición de una cuenta a su organización.
Cuentas de administración de la organización, administradores delegados y roles vinculados a servicios
Si utilizas una cuenta de administración de la organización y tienes la intención de utilizar un administrador delegado para la implementación organizacional, ten en cuenta que esto AWS Config no creará automáticamente el rol vinculado al servicio (SLR). Debe crear el rol vinculado al servicio (SLR) manualmente y por separado, mediante IAM.
Si no tiene un SLR para la cuenta de administración, no podrá implementar recursos en esa cuenta desde una cuenta de administrador delegado. Podrás seguir implementando AWS Config reglas en las cuentas de los miembros desde las cuentas de administración y de administrador delegado. Para obtener más información, consulte Uso de roles vinculados a servicios en la Guía del usuario de AWS Identity and Access Management (IAM).
Implementación
Para obtener información sobre cómo integrarlas AWS Config AWS Organizations, consulte AWS Config y AWS Organizations en la Guía del AWS Organizations usuario. Asegúrese de que la AWS Config grabación esté activada antes de usar las siguientes API para administrar AWS Config las reglas Cuentas de AWS en toda la organización:
-
PutOrganizationConfigRule, agrega o actualiza la regla de configuración de la organización para toda la organización y evalúa si AWS los recursos cumplen con las configuraciones deseadas.
-
DescribeOrganizationConfigRules, devuelve una lista de las reglas de configuración de la organización.
-
GetOrganizationConfigRuleDetailedStatus, devuelve el estado detallado de cada cuenta de miembro dentro de una organización para una regla de configuración de organización determinada.
-
GetOrganizationCustomRulePolicy, devuelve la definición de política que contiene la lógica de la regla de política personalizada de configuración de su organización.
-
DescribeOrganizationConfigRuleStatuses, proporciona el estado de implementación de las reglas de configuración de la organización para una organización.
-
DeleteOrganizationConfigRule, elimina la regla de configuración de la organización especificada y todos los resultados de su evaluación de todas las cuentas de los miembros de esa organización.
Compatibilidad de la región
La implementación de AWS Config reglas en las cuentas de los miembros de una AWS organización está permitida en las siguientes regiones.
| Nombre de la región | Región | Punto de conexión | Protocolo |
|---|---|---|---|
| Este de EE. UU. (Ohio) | us-east-2 | config.us-east-2.amazonaws.com | HTTPS |
| Este de EE. UU. (Norte de Virginia) | us-east-1 | config.us-east-1.amazonaws.com | HTTPS |
| Oeste de EE. UU. (Norte de California) | us-west-1 | config.us-west-1.amazonaws.com | HTTPS |
| Oeste de EE. UU. (Oregón) | us-west-2 | config.us-west-2.amazonaws.com | HTTPS |
| África (Ciudad del Cabo) | af-south-1 | config.af-south-1.amazonaws.com | HTTPS |
| Asia-Pacífico (Hong Kong) | ap-east-1 | config.ap-east-1.amazonaws.com | HTTPS |
| Asia-Pacífico (Hyderabad) | ap-south-2 | config.ap-south-2.amazonaws.com | HTTPS |
| Asia-Pacífico (Yakarta) | ap-southeast-3 | config.ap-southeast-3.amazonaws.com | HTTPS |
| Asia-Pacífico (Malasia) | ap-southeast-5 | config.ap-southeast-5.amazonaws.com | HTTPS |
| Asia-Pacífico (Melbourne) | ap-southeast-4 | config.ap-southeast-4.amazonaws.com | HTTPS |
| Asia-Pacífico (Mumbai) | ap-south-1 | config.ap-south-1.amazonaws.com | HTTPS |
| Asia-Pacífico (Nueva Zelanda) | ap-southeast-6 | config.ap-southeast-6.amazonaws.com | HTTPS |
| Asia-Pacífico (Osaka) | ap-northeast-3 | config.ap-northeast-3.amazonaws.com | HTTPS |
| Asia-Pacífico (Seúl) | ap-northeast-2 | config.ap-northeast-2.amazonaws.com | HTTPS |
| Asia-Pacífico (Singapur) | ap-southeast-1 | config.ap-southeast-1.amazonaws.com | HTTPS |
| Asia-Pacífico (Sídney) | ap-southeast-2 | config.ap-southeast-2.amazonaws.com | HTTPS |
| Asia-Pacífico (Taipéi) | ap-east-2 | config.ap-east-2.amazonaws.com | HTTPS |
| Asia-Pacífico (Tailandia) | ap-southeast-7 | config.ap-southeast-7.amazonaws.com | HTTPS |
| Asia-Pacífico (Tokio) | ap-northeast-1 | config.ap-northeast-1.amazonaws.com | HTTPS |
| Canadá (centro) | ca-central-1 | config.ca-central-1.amazonaws.com | HTTPS |
| Oeste de Canadá (Calgary) | ca-west-1 | config.ca-west-1.amazonaws.com | HTTPS |
| Europa (Fráncfort) | eu-central-1 | config.eu-central-1.amazonaws.com | HTTPS |
| Europa (Irlanda) | eu-west-1 | config.eu-west-1.amazonaws.com | HTTPS |
| Europa (Londres) | eu-west-2 | config.eu-west-2.amazonaws.com | HTTPS |
| Europa (Milán) | eu-south-1 | config.eu-south-1.amazonaws.com | HTTPS |
| Europa (París) | eu-west-3 | config.eu-west-3.amazonaws.com | HTTPS |
| Europa (España) | eu-south-2 | config.eu-south-2.amazonaws.com | HTTPS |
| Europa (Estocolmo) | eu-north-1 | config.eu-north-1.amazonaws.com | HTTPS |
| Europa (Zúrich) | eu-central-2 | config.eu-central-2.amazonaws.com | HTTPS |
| Israel (Tel Aviv) | il-central-1 | config.il-central-1.amazonaws.com | HTTPS |
| México (centro) | mx-central-1 | config.mx-central-1.amazonaws.com | HTTPS |
| Medio Oriente (Baréin) | me-south-1 | config.me-south-1.amazonaws.com | HTTPS |
| Medio Oriente (EAU) | me-central-1 | config.me-central-1.amazonaws.com | HTTPS |
| América del Sur (São Paulo) | sa-east-1 | config.sa-east-1.amazonaws.com | HTTPS |
| AWS GovCloud (US-East) | us-gov-east-1 | config.us-gov-east-1.amazonaws.com | HTTPS |
| AWS GovCloud (US-West) | us-gov-west-1 | config.us-gov-west-1.amazonaws.com | HTTPS |
